Баги личного кабинета «Мегафона» или как ребята вскрыли личные данные

Добавить комментарий

В личном кабинете «Мегафона» творится какой то полный бардак. Сегодня в 9:50 утра без объявления войны случайным образом попал в личный кабинет другого пользователя, который совершенно не имеет отношения к нашему корпоративному тарифу.

Внутри небольшая предыстория и потом  рассказ как так получилось.

Наша компания является корпоративным клиентом «Мегафона». Как правило все счета оплачены заранее и ситуация с тем, что не хватает денег или мегабайт на тарифе, практически не встречается.

1. Сидел я сегодня утром на остановке, сёрфил Facebook через приложение и нажал в ленте ссылку на Чемп.Ру. Открылось сообщение о том, что на тарифе осталось менее 50 мб. Я автоматом щелкнул «продолжить», но краем глаза заметил, что номер телефона, для которого появился алерт, не мой.

2. Думаю: «Интересненько». Иду в Safari, открываю ссылку lk.megafon.ru и вижу следующее:

IMG_1744    IMG_1745

Кто такой Андрей Александрович и как я попал в его личный кабинет без кода подтверждения — загадка.

3. Решаю все таки убедится, что это точно не мой личный кабинет (мало ли неверная подгрузка данных или ещё что). Проверяю баланс. ЛК точно не мой:

IMG_1746

4. Далее пробую сделать следующее:

  • удаляю весь кэш браузера и закрываю браузер — все равно попадаю в ЛК А.А.
  • вкл./выкл. авиа режим — помогло, попал в ЛК нашего ООО.

IMG_1751

5. После нажимаю «выход» и теперь у меня уже запрашивает код доступа в ЛК.

IMG_1752

6. Далее приезжаю на работу и провожу эксперимент (без подключения к Wi-FI):

  • коллега на корпоративном тарифе, доступ на lk.megafon.ru — требует ввести код подтверждения
  • другой коллега на корпоративном тарифе, доступ на lk.megafon.ru — сразу вошло в личный кабинет
  • коллега не на корпоративном тарифе, доступ на lk.megafon.ru — сразу вошло в личный кабинет

А теперь вопросы к коллегам из «Мегафона»:

  • Каким образом так получилось, что я попал в личный кабинет постороннего пользователя?
  • Почему код подтверждения не запрашивается каждый раз при входе?
  • Осознаете ли вы, что при случайном попадании в ЛК пользователя становится доступным финансовая информация, детализация звонков и другие личные данные?

Диалог можно вести здесь: https://www.facebook.com/egor.sizyakov/posts/10209515921200621 .

Добавить комментарий